医疗器械以及为什么网络安全不容谈判

本文最初发表于 New Electronics。

为了协助这项工作，美国食品和药物管理局（FDA）于 2005 年发布了第一份关于医疗器械网络安全的指南，重点关注具有现成（OTS）软件的联网医疗器械。

尽管如此，多年来，FDA 的上市前指南已经发生了重大变化，从 2014 年的 9 页文件扩展到 2023 年的 57 页综合指南。仅这一演变本身就彰显了网络安全在医疗器械行业中日益增长的重要性。

然而，《2023 年综合拨款法案》将 FDA 传统上关于医疗器械网络安全的非正式建议转变为正式的法定要求。再加上 FDA 2023 年更新的《医疗器械网络安全：质量体系考虑因素及上市前申报资料内容》指南，这一发展标志着医疗器械网络安全标准的提高。这些变化共同代表了医疗器械网络安全监管格局的重大进步。

确保医疗器械保持“网络安全”

正如全球各地的相关举措所表明的那样，这些预期并非美国所独有。例如，欧盟的 2022/2555 号《网络与信息系统安全指令》（NIS2）现在要求医疗产品（包括化学品（APIs）、药品和医疗器械）的制造商实施全面的网络安全风险管理措施，并遵守报告要求。

随后，在澳大利亚，治疗用品管理局（TGA）发布了 2022 年《行业医疗器械网络安全指南》，强制要求采用全产品生命周期（TPLC）方法来实现网络安全。这种方法要求制造商将渗透测试、威胁建模以及其他主动措施纳入其风险管理评估流程中。

在新加坡，“医疗器械网络安全标签计划”（CLS-MD）引入了基于医疗器械网络安全保障措施的评级系统。根据该计划，医疗器械将根据其网络安全稳健性进行评估和标记，从而为公众和医疗服务提供者提供有价值的信息。这一标签系统有助于做出明智的采购决策，使利益相关者能够识别并选择符合高网络安全标准的医疗器械。

这些全球性的倡议反映了国际上对于在医疗器械行业中实施强有力网络安全措施之重要性已达成日益增长的共识。

互联互通的优势并非没有脆弱性

当医疗器械包含软件，尤其是能够以电子方式连接到其他设备或网络时，优先考虑网络安全就变得至关重要。由软件驱动的智能医疗器械以及向物联网（IoT）的转型所推动的现代医疗环境中医疗器械的互联互通，无可否认地带来了便捷、及时的诊疗服务。

例如，对植入心脏器件的患者可以进行远程监测，从而减少了频繁就医的需求。同样，用于管理血糖水平的新工具使血糖仪和胰岛素泵能够实现无缝交互。医院也正在采用更多互联设备，通过无缝共享数据来提高医疗服务质量和效率。然而，与此同时，如果医疗系统存在薄弱环节，这也会使医疗器械更容易受到网络攻击和安全漏洞的影响。

这些增加的风险源于恶意攻击者将医疗机构作为目标，企图利用存在漏洞的器械、获取患者病历、干扰日常运营、勒索赎金或渗透网络。例如，胰岛素泵、心脏起搏器和可穿戴设备等由于实时跟踪患者数据并能立即将信息传输给患者和医生，因此面临更高的脆弱性。因此，必须采取强有力的网络安全措施来保护这些关键器械并确保患者安全。

对开发人员的实际影响

FDA 的网络安全指南和监管范围涵盖了广泛的器械软件功能，包括数据存储、传输和分析。任何具有可升级软件、USB 接口甚至光盘技术的医疗或诊断器械，现在都被归类为互联器械，并受到新法规的约束。

FDA 和英国 NCSC 的《安全设计原则》（Secure Design Principles）都强调了制造商考虑更广泛的生态系统以及器械互联性的重要性。

安全目标不应孤立存在，而应整合到医疗器械的整个系统架构中。

医疗器械制造商（MDM）应在器械发布前尽早对其进行威胁建模，以便及时识别、评估安全威胁和漏洞并确定其优先级，确保器械在投放市场前是安全的。制定一份按优先级排列的关键问题清单，使团队能够在提交申报前有效应对并解决关键问题。此外，这还建立了安全考量记录日志，供团队在未来的迭代中进行系统性解决。

解决系统性问题同样至关重要，以避免日后需要进行零散的修补。这可能涉及修订标准操作程序、调整质量管理体系，以及制定涵盖整个开发生命周期的全面安全策略，从而同时满足网络安全标准和监管要求。

最终，未能满足 FDA 针对网络安全措施设定的明确标准，不仅会危及患者安全并损害数据完整性，还可能面临市场准入延迟的风险，从而导致财务损失和声誉受损。同样，在欧盟，制造商如果未能遵守《网络弹性法案》（Cyber Resilience Act），可能会导致产品被移出单一市场，或面临与《通用数据保护条例》（GDPR）所规定金额相当的巨额罚款。

为了降低风险，FDA 建议实施“软件物料清单”（SBOM）计划，将其作为软件安全和供应链管理的基本要素。SBOM 提供了器械内所有软件组件的完整清单，从而能够对漏洞进行有效的跟踪和管理。

了解并符合目标市场的网络安全要求和期望，对于制造商有效应对监管环境并确保其医疗器械的安全性和完整性至关重要。

预防胜于治疗

值得注意的是，网络安全不应该是事后才想到的，而应从一开始就融入到医疗器械开发的基础之中。

网络安全必须成为企业各个方面的优先事项，包括预算分配、资源分配、培训等。这不仅仅是遵守法规和避免处罚，更是要认识到，只有当最终用户能够信任这些与他们生活紧密结合的器械时，先进互联器械的真正优势才能得以体现。这些器械背后的软件在构建时如果未将网络安全纳入考量，就可能极易受到网络威胁，从而使依赖它们的患者面临相同的风险。这显然违背了初衷。

在设计安全策略时，还必须解决系统性问题，以避免日后进行补救。充分重视这些流程能够让开发人员预见任何潜在风险，并使他们能够提前采取纠正措施，最终免于面临潜在的声誉受损、财务损失、上市延迟以及患者安全问题等麻烦。